内存注入：让提示注入与越狱在 ChatGPT、Claude 和 Gemini 中持久化

概述

本工作探讨了针对 Anthropic Claude（Sonnet 4.6）、Google Gemini（Flash）和 OpenAI ChatGPT（Instant 5.3）的内存注入攻击。内存注入攻击利用原生的、基于长期记忆的功能来存储提示注入。因此，注入的效果会跨聊天会话持续存在。NIST 关于对抗性机器学习的报告中确定的所有 NIST 目标均被探讨：

1. 隐私泄露：在 Claude 组织内，用户对话被窃取至攻击者的 Google Drive 账户；
2. 可用性破坏：模型对用户提示回答“离线，请重试”；
3. 完整性破坏：生成虚假信息和有害内容；
4. 滥用赋能：实现一般性滥用的越狱，并支持上述目标。

特别是，Claude 组织可被攻击，使得上述所有目标影响工作区内的所有用户。

本工作探讨的功能包括：记忆、MCP 连接器、Claude 技能、Claude 企业搜索、Claude 项目以及 Claude 组织指令（即组织范围的系统提示）。

组织结构

本仓库划分如下：

• Reproduction steps and artifacts：复现攻击的分步说明，必要时包含辅助材料；
• Datasets：本工作中使用的提示及其他字符串，以及相应的模型输出；
• Screenshots：攻击证明。